46. člen
(nadzor bistvenih subjektov)
(1)
Inšpektor lahko pri izvajanju svojih nadzornih nalog pri bistvenih subjektih izvaja naključne inšpekcijske nadzore.
(2)
Če inšpektor pri opravljanju nalog inšpekcijskega nadzora ugotovi, da je bistveni subjekt kršil ta zakon, drug predpis ali drug akt, katerega izvajanje nadzoruje, ima poleg pravic in dolžnosti iz zakona, ki ureja inšpekcijski nadzor, tudi pravico in dolžnost:
1.
odrediti izvedbo redne in ciljno usmerjene revizije skladnosti s predpisi s področja informacijske in kibernetske varnosti, ki jo izvede revizor informacijskih sistemov;
2.
odrediti izvedbo izredne revizije skladnosti, ki jo izvede revizor informacijskih sistemov, ko je to utemeljeno zaradi pomembnega incidenta ali ker je bistveni subjekt očitno kršil ta zakon;
3.
zavezancu odrediti, da obvesti fizične ali pravne osebe, v zvezi s katerimi opravlja storitve ali izvaja dejavnost in na katere bi lahko vplivala pomembna kibernetska grožnja, o naravi grožnje in o zaščitnih ali popravnih ukrepih, ki jih lahko te fizične ali pravne osebe sprejmejo v odziv na to grožnjo;
4.
odrediti, da zavezanec v razumnem roku izvede priporočila, dana na podlagi izvedene revizije skladnosti;
5.
imenovati pooblaščeno osebo z natančno opredeljenimi nalogami v določenem obdobju, ki spremlja, ali bistveni subjekt izpolnjuje 21., 22., 29. in 30. člen tega zakona, in
6.
zavezancu odrediti, da na določen način objavi kršitve tega zakona.
(3)
Če inšpektor ugotovi, da odrejeni ukrepi za odpravo nepravilnosti ali pomanjkljivosti niso bili učinkoviti, bistvenemu subjektu, ki ga takšni ukrepi zadevajo, določi rok, v katerem mora sprejeti potrebne ukrepe za odpravo nepravilnosti ali pomanjkljivosti ali izpolnitev zahtev inšpektorja. Če bistveni subjekt ukrepov ne sprejme v določenem roku, lahko inšpektor z odločbo:
1.
začasno prepove izvajanje dela storitev ali dejavnosti ali začasno prepove izvajanje vseh storitev ali dejavnosti, ki jih opravlja bistveni subjekt, in
2.
zahteva začasno prepoved opravljanja vodstvenih funkcij vsem osebam, ki za bistveni subjekt opravljajo poslovodne naloge na ravni glavnega izvršnega direktorja ali pravnega zastopnika.
(4)
Začasni preklic ali prepoved, naložena na podlagi prejšnjega odstavka, se uporablja samo, dokler zadevni bistveni subjekt ne sprejme potrebnih ukrepov za odpravo pomanjkljivosti ali ne izpolni zahtev inšpektorja, zaradi katerih je bil tak ukrep uporabljen.
(5)
Ukrepi iz tretjega odstavka tega člena se ne uporabljajo za subjekte javne uprave na državni ravni.
(6)
Inšpektor pri sprejemanju ukrepov iz drugega in tretjega odstavka tega člena upošteva okoliščine vsakega posameznega primera, pri čemer ustrezno upošteva:
1.
resnost kršitve in pomembnost kršenih določb, pri čemer se za resne kršitve v vsakem primeru štejejo:
-
ponavljajoče se kršitve,
-
nepriglasitev ali neodprava pomembnih incidentov,
-
neodprava pomanjkljivosti v skladu z zavezujočimi navodili inšpektorja,
-
oviranje revizij ali dejavnosti spremljanja, ki jih je odredil inšpektor po ugotovitvi kršitve,
-
predložitev napačnih informacij v zvezi z ukrepi za obvladovanje tveganj za kibernetsko varnost ali obveznostmi poročanja iz 21., 22., 29. ali 30. člena tega zakona;
2.
trajanje kršitve;
3.
vse relevantne prejšnje kršitve zadevnega bistvenega subjekta;
4.
morebitno povzročeno premoženjsko ali nepremoženjsko škodo, vključno s finančnimi ali gospodarskimi izgubami, učinki na druge storitve in številom prizadetih uporabnikov;
5.
naklep ali malomarnost storilca kršitve;
6.
ukrepe, ki jih je bistveni subjekt sprejel za preprečevanje ali zmanjšanje premoženjske ali nepremoženjske škode;
7.
upoštevanje odobrenih kodeksov ravnanja ali odobrenih mehanizmov certificiranja in
8.
raven sodelovanja odgovornih fizičnih ali pravnih oseb z inšpektorjem.
(7)
Ukrepi, ki jih inšpektor naloži bistvenim subjektom v zvezi z obveznostmi iz tega zakona, morajo biti učinkoviti, sorazmerni in odvračilni, pri čemer se upoštevajo okoliščine posameznega primera.
(8)
Redne in ciljno usmerjene revizije skladnosti iz 1. točke drugega odstavka tega člena temeljijo na ocenah tveganj, ki jih izvedejo pristojni nacionalni organi ali bistveni subjekt, ki je predmet presoje, ali na drugih razpoložljivih informacijah o tveganju. Poročilo o izvedeni ciljno usmerjeni reviziji varnosti se da na voljo inšpektorju.
(9)
Stroške redne, izredne ali ciljno usmerjene revizije skladnosti, ki jo opravi revizor informacijskih sistemov, krije bistveni subjekt, razen v ustrezno utemeljenih primerih, ko pristojni organ odloči drugače.
(10)
Inšpektor pri izvajanju svojih pooblastil navede namen zahteve in opredeli zahtevane informacije. Pri odreditvi izredne revizije skladnosti iz 2. točke drugega odstavka tega člena inšpektor določi obseg revizije.
(11)
Kadar izvaja nadzor nad bistvenim subjektom, ki je na podlagi zakona, ki ureja kritično infrastrukturo, določen kot kritičen, inšpektor obvesti pristojno inšpekcijo za področje kritične infrastrukture. Inšpektor za področje kritične infrastrukture lahko Inšpekciji za informacijsko varnost tudi sam poda obrazloženo pobudo, da izvede nadzor v zvezi s subjektom, ki je na podlagi zakona, ki ureja kritično infrastrukturo, določen kot kritičen.
(12)
Inšpektor sodeluje z nadzornimi organi, ki so določeni z zakonom, ki ureja izvajanje Uredbe 2022/2554/EU o digitalni operativni odpornosti za finančni sektor. Pri tem inšpektor zagotovi, da o nadzoru bistvenega subjekta, ki je imenovan za ključnega tretjega ponudnika storitev IKT na podlagi 31. člena Uredbe 2022/2554/EU, o tem obvesti nadzorniški forum, ustanovljen na podlagi prvega odstavka 32. člena Uredbe 2022/2554/EU.
(13)
Kadar inšpektor opravlja upravno izvršbo izvršljivih odločb, ki jih je izdal v postopku nadzora bistvenih subjektov in pri tem uporablja prisilne ukrepe z izrekanjem denarnih kazni, pri tem prva denarna kazen ne glede na zakon, ki ureja splošni upravni postopek, ne sme presegati 10.000 eurov. Vsaka poznejša denarna kazen za prisilitev je lahko znova izrečena do tega zneska.
(14)
Prejšnji odstavek se ne uporablja za pravne osebe javnega prava.
(15)
Predstojnik organa subjekta javne uprave ali odgovorna oseba pravne osebe, ki je bistven subjekt, to je fizična oseba ali osebe, ki vodijo, nadzorujejo ali upravljajo poslovanje pravne osebe oziroma so po zakonu, aktu o ustanovitvi ali pooblastilu pristojne in dolžne zagotoviti zakonito delovanje, je odgovorna oseba za zagotavljanje skladnosti delovanja bistvenega subjekta po tem zakonu (v nadaljnjem besedilu: odgovorna oseba bistvenega subjekta) in odgovarja za kršitve svojih dolžnosti v skladu s tem zakonom.